SSL Automatisering

nginx og Apache

En webserver bag en reverse proxy, bag en load balancer eller på et internt net kan ikke svare på en HTTP-challenge. Det er den situation, de fleste ACME-vejledninger ikke beskriver.

De to normale valideringsveje passer sjældent på en produktionswebserver

HTTP-01 kræver, at port 80 er åben ind til netop den server, og at der ikke er en redirect til HTTPS undervejs. DNS-01 løser det, men den almindelige opsætning kræver en API-nøgle til DNS-udbyderen, og den nøgle kommer så til at ligge på webserveren med skriveadgang til hele zonen.

Hvad den genererede opsætning gør

Guiden skriver en Lego-kommando med FairSSL som ACME-server, dine EAB-nøgler, domænerne og en hook, der genindlæser tjenesten efter en fornyelse. Den samme kommando lægges i cron eller en systemd timer og kører derefter dagligt.

Registrerer kontoen mod FairSSL ACME-serveren med EAB.
Henter certifikat, nøgle og kæde som PEM-filer.
Kalder en renew-hook, der genindlæser nginx eller Apache.
Kører dagligt og fornyer, når ARI åbner fornyelsesvinduet.

Hvor certifikatet ender

Som PEM-filer i den sti, du giver Lego. Konfigurationen i nginx eller Apache peger på de stier og skal ikke ændres ved en fornyelse; filerne bliver skrevet det samme sted hver gang, og hooket genindlæser tjenesten, så den kørende proces læser dem.

Det her skal du vide på forhånd

Lego er den klient, vi genererer opsætningen til, og den er også den, vi sponsorerer. Certbot og acme.sh virker mod den samme directory-URL, men acme.sh understøtter ikke ARI: dens dage-parameter er et fast interval mellem udstedelser og ikke et fornyelsesvindue. En tjeneste, der ikke genindlæses efter fornyelsen, kører videre på det gamle certifikat, selv om filerne på disken er nye.

Vejledninger til den her platform

Understøttede versioner

Guiden i kontrolpanelet er skrevet til disse versioner. Kører du en ældre version end den, der står her, så spørg os, før du bestiller.

Linux

Platform	Versioner	Kører på	ACME-klient
nginx	VersionerGuiden sætter ingen versionsgrænse	Kører påLinux	ACME-klientlego 5.0.4+
Apache	VersionerGuiden sætter ingen versionsgrænse	Kører påLinux	ACME-klientlego 5.0.4+
HAProxy	VersionerGuiden sætter ingen versionsgrænse	Kører påLinux	ACME-klientlego 5.0.4+
Traefik	VersionerMed file provider	Kører påLinux	ACME-klientlego 5.0.4+
Postfix	VersionerGuiden sætter ingen versionsgrænse	Kører påLinux	ACME-klientlego 5.0.4+
Caddy	VersionerGuiden sætter ingen versionsgrænse	Kører påLinux	ACME-klientCaddys indbyggede ACME med EAB
Anden Linux-service	VersionerGuiden sætter ingen versionsgrænse	Kører påLinux	ACME-klientlego 5.0.4+

Validering uden at åbne noget ind til serveren

En ACME-klient, der validerer over HTTP, kræver port 80 åben ind til serveren. En klient, der validerer over DNS, kræver en API-nøgle til din DNS-udbyder, og den nøgle ligger så på serveren med skriveadgang til din zone. Interne servere og appliances kan sjældent nogen af delene.

Den ene CNAME du opretter per domæne

_dnsauth.<domain> CNAME <hash>.autodns.fairssl.dk

Du opretter den én gang per registreret domæne. FairSSL skriver CA’ens valideringsrecord i vores egen zone, og du rører ikke din DNS igen ved fornyelse.

Én record per domæne

Wildcards, SAN-navne og nye underdomæner på det samme registrerede domæne bruger den samme CNAME viderestilling.

Ingen DNS-nøgler på serveren

Klienten får aldrig adgang til din DNS-zone. En kompromitteret server kan derfor ikke ændre dine DNS-records.

Udgående HTTPS, ingen indgående regel

Serveren skal kunne kalde fairssl.dk over HTTPS. Der skal ikke åbnes en indgående regel i firewallen, og serveren behøver ikke en offentlig adresse.

Sådan virker AutoDNS →

Hvad der bliver overvåget, når klienten kører

En automatisering, der går i stå uden at sige det, er værre end en fornyelse i kalenderen. Vi måler derfor både certifikatet og den klient, der skal forny det.

Fornyelsesvindue hver time

Vi spørger CA’en via ARI, hvornår certifikatet bør fornyes, og tjekker hver time. Svarer CA’en ikke, falder vi tilbage til 21 og 7 dage før udløb.

Klienten holder op med at melde sig

Halveres en klients check-in-frekvens, sender vi en advarsel. Et certifikat kan være gyldigt længe efter, at den klient, der skulle forny det, er holdt op med at køre.

Om installationen lykkedes

Windows-klienten melder resultatet af installationen tilbage. Et certifikat, der er udstedt, men ikke bundet til sitet, tæller som en fejl.

E-mailalarmer per profil

Alarmer sættes op per profil, så drift og udvikling kan få besked på hver sin adresse.

Overvågnings-API

Status kan hentes som JSON eller læses direkte af PRTG og Prometheus, så certifikaterne står i det overvågningssystem, I allerede kigger på.

Certifikater uden automatisering

Certifikater, der ikke kører automatisk, får udløbsmail 28 dage og 7 dage før udløb.

Administration, profiler og adgange →

Hvad automatiseringen koster

Gebyret betales per hovedcertifikat, per år, oveni prisen på selve certifikatet.

250 DKK per hovedcertifikat om året

Kortere levetid betyder flere udstedelser om året. Antallet af udstedelser ændrer ikke prisen: du betaler for certifikatet under administration, ikke per fornyelse.

Op til 25 servere, der bruger certifikatet, er med i gebyret. Hver server får sit eget genudstedte certifikat.
Genudstedelser koster ikke ekstra.
Ændringer i SAN-navnene på certifikatet koster ikke ekstra.
Flere ACME-klienter, der bruger det samme certifikat, koster ikke ekstra.

Et certifikat mere prissættes for sig: certifikatets egen pris plus gebyret for et år.

Regneeksempel og prisdetaljer →

Fra bestilling til et certifikat, der fornyer sig selv

Trin tre er det, der ikke findes i en generisk ACME-vejledning: opsætningen bliver skrevet til din platform.

1
Bestil certifikatet i kontrolpanelet og slå automatisering til på det.
2
Opret CNAME viderestillingen for domænet. Én gang per registreret domæne.
3
Vælg din platform i guiden. Portalen skriver opsætningskommandoen med kontonøgle og domæner sat ind, og du kopierer den med én knap.
4
Kør kommandoen på serveren. Klienten henter certifikatet, installerer det og fornyer det derefter selv.

Klienten til Windows pakker vi selv og bygger dagligt. Linux og macOS bruger stock lego, som den genererede kommando kalder. Hent Windows-klienten

Kom i gang i kontrolpanelet →

Support på mail og telefon er gratis før, under og efter installationen. Fjerninstallation er et tilkøb til fast pris.

Find din platform

Guiden i kontrolpanelet skriver opsætningen til den platform, du vælger, med kontonøgle og domæner sat ind. Du kopierer den med én knap og kører den på serveren.

Windows

Simple-ACME i FairSSL-udgaven henter certifikatet, installerer det i certifikatlageret og binder det til sitet eller tjenesten.

IIS 8+, IIS 6-7.5, Exchange, RDS, ADFS, WAP, SQL Server, PRTG, Dynamics NAV/BC, Tomcat

Se opsætningen →

Linux

Stock lego med FairSSL som ACME-server. Den genererede kommando skriver certifikatet og reloader tjenesten bagefter.

nginx, Apache, HAProxy, Traefik, Caddy, Postfix, lego

macOS

Lego, med den samme opsætning som på Linux.

lego

Appliances

FortiGate 7.6.3 og F5 BIG-IP 21.1.0 og nyere taler ACME selv. Ældre versioner og de øvrige bokse henter certifikatet gennem en agent eller en enrollment-URL.

FortiGate, FortiMail, FortiWeb, NetScaler ADC, F5 BIG-IP, Kemp LoadMaster, Cisco ASA, Cisco FDM, Kubernetes cert-manager

Se opsætningen →

Det her er ikke med

Guiden skriver ikke en opsætning til pfSense, Synology, Palo Alto eller Sophos. Kører du en af dem, så spørg os før du køber, så vi kan se på, hvad der kan lade sig gøre.

Certifikater på mange servere og appliances

Et offentligt SSL-certifikat kan højst være gyldigt i 199 dage nu, 99 dage senest 15-03-2027 og 46 dage senest 15-03-2029. Hvert certifikat skal dermed skiftes mindst to gange om året nu og mindst otte gange om året fra 2029, på hver server, firewall og load balancer, det bruges på. sslbrain fra FairSSL kører som en appliance i jeres eget netværk og fornyer og installerer certifikaterne fra ét sted, også på udstyr uden agent.

Sådan fornyer og installerer sslbrain certifikater på Linux-servere med Nginx og Apache